Szesnastolatek z Rumunii aresztowany w Hiszpanii. Rozbito grupę hakerską KillSec

Międzynarodowa operacja przeciwko kierownictwu KillSec

Organy ścigania z Europy i Stanów Zjednoczonych rozbiły trzon grupy ransomware KillSec w ramach operacji Killswitch. Hiszpańska policja aresztowała w czwartek w Alicante 16-letniego obywatela Rumunii, wskazując go jako głównego koordynatora i administratora sieci. Śledczy przypisują grupie około 1000 ataków ransomware przeprowadzonych na całym świecie w ciągu ostatnich dwóch lat. Dwóch kolejnych podejrzanych w wieku dwudziestu kilku lat zatrzymano podczas skoordynowanych nalotów w Wielkiej Brytanii i Rumunii. Czwarta osoba, zidentyfikowany programista, który w sierpniu 2026 r. ukończył 18 lat, uniknęła aresztowania ze względu na status osoby nieletniej w czasie popełnienia części przestępstw.

Skoordynowana akcja objęła osiem przeszukań mieszkań w Hiszpanii, Grecji, Rumunii i Wielkiej Brytanii, podczas których policja zabezpieczyła dowody cyfrowe i sprzęt techniczny. Rumuńscy prokuratorzy z DIICOT wykonali 30 września 2026 r. cztery nakazy przeszukania w Bukareszcie i okręgu Vaslui, zatrzymując 24-letniego członka grupy. Władze Portoryko złożyły wniosek o ekstradycję podejrzanego zatrzymanego w Wielkiej Brytanii.

Infrastruktura techniczna i metody wymuszeń

Ustalenia śledczych wskazują, że KillSec stosował systemowy model ataków, wykorzystując luki w oprogramowaniu i słabo zabezpieczone punkty dostępu. Grupa przejmowała systemy przechowywania danych w chmurze i pozyskiwała nielegalne dane uwierzytelniające, sprzedawane następnie na rynkach darknetu. Członkowie grupy utrzymywali serwery dowodzenia i kontroli u międzynarodowego dostawcy usług chmurowych, komunikując się za pomocą szyfrowanych kanałów pod pseudonimami.

DIICOT przedstawił cel operacyjny grupy podczas postępowania sądowego.

W październiku 2023 r. oskarżony, wraz z innymi członkami, działał w ramach transgranicznej zorganizowanej grupy przestępczej o nazwie KillSec, w celu uzyskania korzyści majątkowych z kradzieży danych komputerowych i ich sprzedaży zainteresowanym stronom trzecim.

Po przełamaniu zabezpieczeń sieci ofiar, KillSec eksfiltrował wrażliwe pliki przed wysłaniem żądań okupu. Aby wymusić płatność, grupa przesyłała próbki skradzionych danych bezpośrednio do zaatakowanych organizacji lub udostępniała linki do materiałów. Członkowie grupy grozili publikacją danych w internecie lub sprzedażą ich konkurencyjnym sieciom przestępczym, jeśli okup nie został opłacony w kryptowalutach.

Europol potwierdził skutki finansowe żądań grupy.

Grupa uzyskała znaczne płatności w formie okupu.

Międzynarodowa współpraca sądowa

Operacja Killswitch połączyła organy sądowe i policyjne z dziewięciu krajów: Rumunii, Niemiec, Belgii, Finlandii, Grecji, Hiszpanii, Szwajcarii, Wielkiej Brytanii oraz Stanów Zjednoczonych. Międzynarodowa współpraca rozpoczęła się w grudniu 2025 r. pod egidą Eurojustu, kiedy Rumunia i Belgia utworzyły wspólny zespół śledczy, który później rozszerzono o Niemcy i Grecję. Europol wspierał wymianę informacji między jednostkami policji przez cały okres trwania śledztwa.

Rumuńscy prokuratorzy postawili 24-letniemu zatrzymanemu zarzuty tworzenia zorganizowanej grupy przestępczej, nielegalnego dostępu do systemu komputerowego, nieuprawnionego transferu danych, nielegalnych operacji na oprogramowaniu oraz szantażu. Dowody cyfrowe zabezpieczone w ośmiu przeszukanych lokalizacjach w czterech krajach poddawane są analizie kryminalistycznej, aby zidentyfikować kolejne naruszenia i prześledzić przepływy finansowe.